Gibrid bulut: on-prem + cloud

1) Gibrid nima uchun va qachon oqlanadi

Drayverlar: regulyator talablari (data residency/PII), mavjud on-prem investitsiyalar, «o’z» tizimlariga latency, qiymat nazorati, bulutning boshqariladigan servislariga kirish.
Murosalar: tarmoqlar va xavfsizlikning murakkabligi, vakolatlarni takrorlash, ma’lumotlar va konfiguratsiyalarni sinxronlashtirish, operatsion xavflar.

Motto: kritik joyda portable; cloud-native foydali joylarda.

2) Gibrid modellari

On-prem extension: bulutlar ma’lumotlar markazining kengayishi sifatida (yangi mikroservislar/tahlillar, jabhalar).
Lokal langarli Cloud-first: bulutdagi yadro, on-prem - hisobga olish tizimlari/to’lov shlyuzlari/PII-omborlar.
Cloud-bursting: bulut yuklamasining elastik cho’qqilari (batch, promo-cho’qqilar), bazaviy hajmi - lokal.
DR to Cloud: on-prem uchun bulutdagi issiq/issiq zaxira (RTO/RPO boshqariladi).
Edge + Core: PoP/edge-tugunlar foydalanuvchiga yaqinroq, ildiz ma’lumotlari/ML - bulutda.

3) Tarmoq va aloqa

3. 1 Kanallar

Site-to-Site VPN (IPsec/SSL) - tezda boshlash, yuqori latentlik, jitter.
To’g’ridan-to’g’ri liniyalar (DC/ER/IC, MPLS) - oldindan aytib bo’ladigan SLA, kechikishdan past, qimmatroq.
Dual-link + BGP - nosozlikka chidamlilik va yo’nalishni nazorat qilish.

3. 2 Manzillar va yo’nalishlar

Kesishmalarsiz yagona RFC1918 sxema; Kelgusi yillar uchun CIDR rejasi.
NAT-domes faqat chegaralarda; NATsiz east-west.
Segment/VRF (dev/stage/prod), tenantlar, provayderlar uchun.

3. 3 Vaqt siyosati va DNS

Yagona NTP (soat = kriptografiya/imzolar uchun taqdir).
Split-horizon DNS: ichki zonalar (svc. cluster. local, corp.local), tashqi - ommaviy.
Kirish trafigi uchun Health-based GSLB.

4) O’ziga xoslik va foydalanish

SSO Federatsiyasi: OIDC/SAML, on-prem IdP, bulutli IdP; SCIM-provijining.
least privilege tamoyili bo’yicha rollar; break-glass MFA hisoblari.
mTLS uchun SPIFFE/SPIRE yoki mesh-PKI.
RBAC «uzluksiz»: Git/CI/CD → klaster/mesh → brokerlar/DB → loglar.

5) Platforma: Kubernetes + GitOps

5. 1 Yagona ijro qatlami

Bir xil/CRD versiyali on-prem va cloud klasterlari.
GitOps (Argo CD/Flux): yagona chartlar/overleylar, dreyf nazorati, reklama oqimlari.

5. 2 Servis-mesh

Istio/Linkerd: mTLS andoza, locality-aware balanslash, failover klaster oraligʻida.
L7 siyosati (JWT, headers, rate limits, retry/circuit/timeout) - manifestlar kodida.

5. 3 Misol (K8s topology & mesh)

yaml anti-affinity and distribution by zones on-prem cluster spec:
topologySpreadConstraints:
- maxSkew: 1 topologyKey: topology. kubernetes. io/zone whenUnsatisfiable: DoNotSchedule labelSelector: { matchLabels: { app: api } }
Istio DestinationRule: local cluster priority, then trafficPolicy cloud:
outlierDetection: { consecutive5xx: 5, interval: 5s, baseEjectionTime: 30s }

6) Ma’lumotlar va omborlar

6. 1 Bazalar

On-prem master, cloud read-replica (analitika/kataloglar).
Cloud master + on-prem cache (lokal integratsiyalar uchun past latentlik).
Distributed SQL/NoSQL (Cockroach/Cassandra) lokal kvorumlar bilan.
Kontur orasidagi CDC/log-replikatsiya (Debezium); qayta ishlovchilarning idempotentligi.

6. 2 Obyekt/fayl/blok

replikatsiya/versiya qilingan S3-mos storalar (on-prem MinIO + cloud S3/GCS); Audit uchun WORM.
Bekaplar: 3-2-1 (3 nusxa, 2 tashuvchi, 1 - offsite), tiklanishni muntazam tekshirish.

6. 3 Kesh va navbatlar

Redis/KeyDB klaster per-site; global kesh - faqat hodisalar/TTL orqali.
Kafka/Pulsar: MirrorMaker 2/replicator; kalit - konsumerlarning dedup/idempotentligi.

7) Xavfsizlik va muvofiqlik (Zero Trust)

mTLS hamma joyda (mesh), TLS 1. 2 + perimetrda; shifrlanmagan kanallarni taqiqlash.
Sirlar: HashiCorp Vault/ESO; qisqa umr ko’ruvchi tokenlar; avto-rotatsiya.
KMS/HSM: kalitlar segmentlangan per yurisdiksiya/tenant; jadval bo’yicha kripto-rotatsiya.
Segmentatsiya: NetworkPolicies, micro-segmentation (NSX/Calico), ZTNA.
Jurnallar: o’zgarmas (Object Lock),’trace _ id’orqali, PII/PAN maskalash.

8) Kuzatish, SLO va hodisalarni boshqarish

OpenTelemetry SDK hamma joyda; Collector on-prem va bulutda.
Tail-sampling: 100% ошибок и p99, labels `site=onprem|cloud`, `region`, `tenant`.
SLO va Error Budgets bo’yicha (yo’nalish/tenant/provayder/sayt); burn-rate bo’yicha alertlar.
Oraliq dashbordlar: RED/USE, qaramlik xaritalari, kanareykali taqqoslashlar (migratsiyadan oldin/keyin).

9) CI/CD va konfigi

Artefaktlarning yagona registri (on-prem-da pull-through cache).
Promo-oqim: dev → stage (on-prem) → canary (cloud) → prod; yoki aksincha - maqsadiga qarab.
Tekshirishlar: kontrakt-testlar (OpenAPI/gRPC/CDC), statik tahlil, IaC linting, tasvirlar skaneri, SLO-geytlar.

10) DR/BCP (uzluksizlik rejasi)

• kataloglar/lendinglar: RTO 5-15 min, RPO ≤ 5 min;
• to’lovlar/hamyonlar: RTO ≤ 5 daqiqa, RPO ≈ 0-1 daqiqa (maydon doirasida kvorum/sinxron).
• Runbook: GSLB/weights almashtirish, klasterda standby ko’tarish, «engillashtirilgan rejim» feature-flags.
• GameDays: har chorakda - maydon/kanalni o’chirish, haqiqiy RTO/RPOni tekshirish.

11) Qiymati va FinOps

on-prem va bulut o’rtasidagi egress - asosiy «yashirin» xarajat; safarlarni minimallashtiring (SWR, edge).
Teglash:’service’,’env’,’site’,’tenant’,’cost _ center’.
80/20 qoidasi: «kritik yadro» ning 20 foizini ko’chirish/ushlab turish, qolganlari arzon joyda.
Downsampling metrik, «issiq/sovuq» log retensiyasi, budjet-aware sampling treysing.

12) Workload’larni joylashtirish patternlari

13) Konfiguratsiyalar namunalari

13. 1 IPsec S2S (gʻoya)

onprem ↔ cloud: IKEv2, AES-GCM, PFS group 14, rekey ≤ 1h, DPD 15s, SLA monitoring jitter/packet-loss

13. 2 Terraform (taglar/yorliqlar parchasi)

hcl resource "kubernetes_namespace" "payments" {
metadata {
name = "payments"
labels = {
"site"    = var. site    # onprem    cloud
"tenant"   = var. tenant
"cost_center" = var. cc
}
}
}

13. 3 Vault + ESO (on-prem dan bulutlar klasteriga sir)

yaml apiVersion: external-secrets. io/v1beta1 kind: ExternalSecret spec:
refreshInterval: 1h secretStoreRef: { kind: ClusterSecretStore, name: vault-store }
target: { name: psp-hmac, creationPolicy: Owner }
data:
- secretKey: hmac remoteRef: { key: kv/data/payments, property: HMAC_SECRET }

14) Antipatternlar

Kesishuvchi CIDR → NAT-xaos; avval manzilli reja, so’ngra kanallar.
Kuchli mustahkamlikka ega bitta global kesh → yashirin va split-brain.
Idempotentsiz retraylar → ikki baravar hisobdan chiqarish/buyurtmalar.
mTLS/Zero Trust bo’lmagan «yalang’och» VPN ichki - lateral movement.
DR mashqlari yo’qligi: rejalar haqiqatda ishlamaydi.
K8s/CRD/operatorlarning turli versiyalari → yagona chartlarning imkonsizligi.
’trace _ id’ va kamuflyajsiz erkin formatdagi loglar - forensika mumkin emas.

15) iGaming/Moliya xususiyatlari

Data residency: PII/to’lov hodisalari - on-prem/mintaqaviy konturda; bulutga - agregatlar/anonim.
PSP/KYC: multi-provayderlar; bulutdan lokal shlyuzlarga smart-routing, zaxira shlyuzga fallback; veb-xukki bobo bilan broker orqali.
«Pul yo’llari»: alohida SLOlar umumiylikdan yuqori; HMAC/mTLS,’Retry-After’,’Idempotency-Key’majburiydir.
Audit: WORM-saqlash (Object Lock), o’zgarmas tranzaksiya jurnallari, tanqidiy voqealar uchun ikki tomonlama yozuv (on-prem + cloud).
Yurisdiksiyalar: KMS/Vault per mamlakat/brend kalitlarini segmentlash; perimetrdagi geo-bloklar.

16) Prod-tayyorlik chek-varaqasi

• Manzilli reja, DNS, NTP - bir; S2S kanallari + zaxirali to’g «ridan to’g» ri liniyalar (BGP).
• Yagona identifikatsiya (SSO/OIDC/SAML), MFA, least privilege; Xizmatlar uchun SPIFFE/SPIRE.
• Barcha platformalarda K8s, GitOps, bir xil operatorlar/CRD; service mesh с mTLS и locality-aware LB.
• Ma’lumotlar: CDC, konsistentlik testlari, RPO/RTO siyosati, 3-2-1 va muntazam restore-dridlar.
• Xavfsizlik: Vault/ESO, rotatsiya, NetworkPolicies, ZTNA; o’zgarmas jurnallar.
• Kuzatish darajasi: OTel, tail-sampling, SLO/site/region/tenant bo’yicha budjetlar; kanar dashbordlari.
• CI/CD: kontrakt-testlar, IaC linting, tasvirlar skaneri; SLO bo’yicha release-geytlar.
• DR-runbooks, GameDays, o’lchangan haqiqiy RTO/RPO; cutover/roll-back tugmalari.
• FinOps: egress-limitlar, teglar va hisobotlar, metrik/loglar/treyslar siyosati.
• iGaming-spetsifikasi: data residency, multi-PSP, WORM auditi, to’lovlar uchun alohida SLO.

17) TL; DR

Gibrid = umumiy ijro platformasi (K8s + GitOps + mesh + OTel + Vault) ikki dunyoda: on-prem va cloud. Tarmoq va o’ziga xoslikni rejalashtirish, CDC/idempotentlik orqali ma’lumotlarni olib o’tish, Zero Trust orqali xavfsizlikni chegaralash, SLO/Error Budgets ishonchliligini o’lchash va muntazam ravishda DR.ni o’rganish. iGaming uchun ma’lumotlar va to’lovlarni yurisdiktsiyada saqlang, multi-PSP smart-routing va o’zgarmas audit